Zanjir nomi ilgak emas: iptables va nftables

Ikkala xavfsizlik devori ham uzatilayotgan VPN trafigini filtrlashi mumkin va ular qoidalarni paket yo'liga turli usullarda biriktiradi. iptables da jadval ichida o'rnatilgan zanjirlar bor, shuning uchun FORWARD nomli ilgak nuqtasi sifatida mavjud. nftables zanjir nomini uning turi, ilgagi va ustuvorligidan ajratadi, ya'ni FORWARD deb nomlangan oddiy zanjir hech narsani filtrlmaydi. Ikki modelni solishtirish bir asbobda to'g'ri ko'ringan yozuv nega boshqasida ta'sir ko'rsatmasligini tushuntiradi.

Zanjir — idish. Yadro unga murojaat qiladimi, bu amalga oshirilishga va qoidalar to'plami uni qanday biriktirishiga bog'liq.

Ikki model, ikki xil biriktirish

iptables da filter jadvali uchta o'rnatilgan zanjir bilan keladi: INPUT, FORWARD va OUTPUT, -N esa faqat ulardan biri orqali sakrab o'tilganda kuchga kiradigan foydalanuvchi belgilagan zanjirni yaratadi. nftables qo'llanmasi buning o'rniga o'z turi, ilgagi va ustuvorligini e'lon qiladigan asosiy zanjirlarni va buni qilmaydigan oddiy zanjirlarni belgilaydi. Asosiy zanjir har qanday nomga ega bo'lishi mumkin, FORWARD deb nomlangan oddiy zanjir esa o'z yorlig'idan hech qanday xususiyat olmaydi. Butun farq shu va u faqat qoida matnini ko'rsatadigan qo'llanmada ko'rinmaydi.

Moslik backendlari xulq-atvorni buyruq nomidan xulosa qilmaslikning ikkinchi sababini qo'shadi. iptables hujjatlari iptables-nft ostida farq qiladigan amallarni qayd etadi, shuning uchun mahalliy nftables, iptables-nft va eski qoidalar to'plamini bitta narsaning uchta yozilishi emas, uchta tizim deb qarang.

Xatoni uning haqiqiy kontekstida o'qing

Yo'q jadval, ruxsat xatosi, mavjud bo'lmagan yadro imkoniyati va yo'q nomlangan zanjir to'rt xil topilma bo'lib, ulardan faqat bittasi zanjir haqida. Asbob versiyasini, so'ralgan manzil oilasi va jadvalni, tarmoq nomlar maydonini va birinchi aniq xatoni yozib oling. Keyin qoidalar to'plami qaysi komponentga tegishli ekanini tekshiring: xavfsizlik devori xizmati yoki mahsulot boshqaradigan shlyuz o'z zanjirlari va tartibini yaratishi mumkin. Ularning yoniga mahalliy zanjir qo'shish boshqariladigan siyosatni tegmasdan qoldiradi va inventarni yanada chalkashtiradi.

Konteyner nomlar maydoni xostdan boshqa qoidalar to'plamini saqlashi mumkin, shuning uchun noto'g'ri kontekstda ishga tushirilgan buyruq uzatilgan paketni qaysi zanjir ko'rganini ko'rsata olmaydi. Kutilgan zanjir ko'rinmaganligi uchun imtiyozlarni oshirish diagnostika emas.

Hisoblagichlar yetib borishni isbotlaydi, hukmni emas

Qoida hisoblagichlari qoidaga yetib borilganini aytadi. Ular keyingi qoida amalni ruxsat berganini aytmaydi va har bir muqobil yo'l rad etilganini isbotlamaydi. Ularni bitta zararsiz ruxsat etilgan oqim paytida, qoidalar tartibi va zanjir biriktirilishi bilan birga o'qing va hukm emas, bitta kuzatuv sifatida qabul qiling. drop qoidasidagi nolga teng bo'lmagan hisoblagich trafik unga tegganini bildiradi; tegamagan trafik haqida u hech narsa demaydi.

Yadroning IP uzatishi butunlay alohida sozlamadir. Zanjirning mavjudligi uzatishni yoqmaydi va tanish yorliqning yo'qligi uzatish to'xtadi degani emas.

Himoya qilmoqchi bo'lgan oqimni tasvirlab bering

Dekapsulyatsiyadan keyingi bitta mijoz so'rovini yozing: uning manbasi, manzili, manzil oilasi va u shlyuzda tugaydimi yoki undan o'tadimi. Mahalliy xizmat kirishi va uzatilgan trafik turli nuqtalarda kuzatiladi, shuning uchun ularga turli qoidalar va turli sinovlar kerak. Ko'prikli VPN uchun ko'prik yo'lini ham tekshiring, chunki IP darajasidagi zanjir Ethernet freymlarini avtomatik nazorat qilmaydi.

Uzoq shlyuzni o'zgartirishdan oldin mustaqil tiklash ruxsatini saqlang. Keyin o'sha qoidalar to'plami ostida mo'ljallangan oqimni va zarur rad etishlarni tasdiqlang. Tanish nomli yangi bo'sh zanjir tuzatish emas.

Solishtirish bitta savol bilan tugaydi: bu paket uchun yadro aslida qaysi ilgakni chaqiradi? Shunga javob bering, shunda zanjir nomi boshqa muhim bo'lmaydi.